W32/Chod.A. Se propaga a través de MSN Messenger

[vart001]

W32/Chod.A. Se propaga a través de MSN Messenger     
VirusEste gusano se propaga vía MSN Messenger. Para ello envía el siguiente mensaje a toda la lista de contactos del programa:

    hey, is this you?
    [enlace]

    El usuario que recibe y acepta el mensaje, debe hacer clic en el enlace para descargar otro archivo, que es el gusano propiamente dicho. La infección ocurre si ejecuta dicho archivo.

    Cuando se ejecuta, el gusano muestra un mensaje de error falso:

        Run-time error #7: Out of memory.
        [   OK   ]

    Al mismo tiempo, crea una carpeta con nombre al azar y los siguientes archivos:

        c:windowssystem3 2[nombre al azar]csrss.exe
        c:windowssystem3 2cpu.dll

    NOTA: "c:windowssystem3 2" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:winntsystem32" en Windows NT y 2000 y "c:windowssystem" en Windows 9x y ME).

    Crea las siguientes entradas en el registro, las primeras tres para autoejecutarse en cada reinicio del sistema:

        HKCUSoftwareMi crosoftWindows CurrentVersion Run
        csrss = C:windowssystem3 2[nombre al azar]csrss.exe

        HKCUSoftwareMi crosoftWindows NTCurrentVersi onWindows
        Run = C:windowssystem3 2[nombre al azar]csrss.exe

        HKLMSOFTWAREMi crosoftWindows CurrentVersion Run
        csrss = C:windowssystem3 2[nombre al azar]csrss.exe

        HKCUSoftwareCh ode
        Installed = 1

        HKCRChode
        Installed = 1

    El gusano también instala una puerta trasera en el equipo infectado, que un atacante remoto podrá utilizar para realizar las siguientes acciones, entre otras:

        - Actualizarse a si mismo.
        - Desactivar algunos antivirus.
        - Enviar correos electrónicos.
        - Modificar el archivo HOSTS.
        - Realizar ataques de denegación de servicios.
        - Robar contraseñas.


    Reparación manual

    NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica.


    Sobre el componente troyano

    Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema.

    ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).

    Más información:

    Cómo configurar Zone Alarm 3.x
    http://www.vsantivirus.com/za.htm


    Antivirus

    Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

    1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

    Cómo iniciar su computadora en Modo a prueba de fallos.
    http://www.vsantivirus.com/faq-modo-fallo.htm

    2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

    3. Borre los archivos detectados como infectados.


    Borrar manualmente archivos agregados por el virus

    Desde el Explorador de Windows, localice y borre los siguientes archivos:

        c:windowssystem3 2[nombre al azar]csrss.exe
        c:windowssystem3 2cpu.dll

    También borre la carpeta [NOMBRE AL AZAR].

    Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


    Editar el registro

    Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

    1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

    2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

        HKEY_CLASSES_R OOT
        Chode

    3. Haga clic en la carpeta "Chode" y bórrela.

    4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

        HKEY_CURRENT_U SER
        Software
        Chode

    5. Haga clic en la carpeta "Chode" y bórrela.

    6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

        HKEY_CURRENT_U SER
        Software
        Microsoft
        Windows NT
        CurrentVersion
        Windows

    7. Haga clic en la carpeta "Windows" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

        Run = C:windowssystem3 2[nombre al azar]csrss.exe

    8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

        HKEY_CURRENT_U SER
        Software
        Microsoft
        Windows
        CurrentVersion
        Run

    9. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

        csrss = C:windowssystem3 2[nombre al azar]csrss.exe

    10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

        HKEY_LOCAL_MAC HINE
        SOFTWARE
        Microsoft
        Windows
        CurrentVersion
        Run

    11. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

        csrss = C:windowssystem3 2[nombre al azar]csrss.exe

    12. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

    13. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


    Restaurar archivo HOSTS

    1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas:

        c:windows
        c:windowssystem3 2driversetc
        c:winntsystem32d riversetc

    2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".

    3. Borre todas las líneas que comiencen con un número, salvo las siguientes:

        127.0.0.1   localhost

    4. Acepte guardar los cambios al salir del bloc de notas.

    5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información.

    Nombre: W32/Chod.A
    Nombre NOD32: Win32/Chod.A
    Tipo: Gusano de Internet y caballo de Troya
    Alias: Chod, Chod.A, Backdoor.Win32 .VB.aam, IM-Worm.Win32.Chod.a, W32.IRCBot.Gen, W32/Chod.a, W32/Chod.A, W32/Chode-C, W32/Chod-mm, W32/MEWpacked.gen, W32/NoChod@MM, W32/Tobecho.A.worm, Win32.HLLM.Gen eric.348, Win32.Nochod.C, Win32.Worm.Cho d.A, Win32/Chod.A, Win32/Nochod.C!Worm, Worm.Chod.A, Worm/Chod.A, Worm/MSN.Chod.a, WORM_CHOD.GEN
    Fecha: 8/jun/05
    Plataforma: Windows 32-bit
    Tamaño: 151,998 bytes

    Fuente:VSAntivirus

[Molash]

muy buena info!!




salu2

[ratero]

bueeno  ya   que  describistes  este   programa   podrias  dar el linck  de descarga  no???

[RaKi0N]

Báh... es como un troyano que convierte los equipos en zombie...

y usados para hacer ataques ddos

[RaKi0N]

igual que ese virus que ponia date una olhaa desa festa o algo así... pues el creador tendría buenos bots... Joder... xDD y este "virus" hace la misma función

[cmta]

esta muy bueno.

 

[N.O.X.]

Será una gran ayuda para los que tenga ese problema

[rafell]

buen dato camarada, thank´s